OpenSSL s_client: proxy-403 kommer før destinations-TLS
Læs et 403 på CONNECT gennem en OpenSSL-proxy som en fejl i tunnel-fasen, og diagnosticér ikke et destinationscertifikat ud fra et handshake, der aldrig startede.
Hvis openssl s_client får HTTP 403 som svar på sin CONNECT-anmodning gennem proxyen, så begynd med den afvisning. Den ønskede tunnel er ikke etableret.
Med -proxy beder s_client først HTTP-proxyen om at forbinde til destinationen angivet med -connect. Kun et vellykket CONNECT-svar skifter denne udveksling over til en tunnel til destinationens TLS-handshake.
Denne rækkefølge forklarer et ellers forvirrende output: en proxyfejl efterfulgt af TLS-relaterede overskrifter, intet peer-certifikat eller en tilsyneladende beroligende verifikationslinje. De felter beviser ikke, at destinationens certifikat er modtaget og verificeret. Handlingen stoppede på et tidligere trin.
Noter proxyens svar samt den ønskede destinations vært og port. Et 403 retter opmærksomheden mod proxyens adgangsbeslutning; et 407 kræver proxygodkendelse. Ingen af dem løses ved at slå verifikationen af destinationscertifikatet fra.
Når det er tilladt at undersøge udvekslingen, kan -debug-output fra s_client hjælpe med at afdække afvisningen. Hold eventuelle proxy-legitimationsoplysninger ude af delte spor. En vellykket tunnel ville stadig bagefter kræve sin egen TLS- og certifikatvurdering, men der er ingen målrettet certifikatkæde at diagnosticere, før det trin faktisk er nået.